Ang security alert ay simula ng pagpapasya, hindi pagtatapos ng pag-iisip. Maaaring humaba ang problema sa mabagal na tugon, o maabala ang serbisyo sa padalos-dalos na aksiyon. Dapat umangkop sa ebidensiya at halaga ng serbisyo ang disenyo.
Mungkahing pattern ng Sara Shield ang artikulong ito. Dapat kumpirmahin sa espesipikasyon ng bawat deployment kung aktibo ang anumang awtomatikong aksiyon.
Ihiwalay ang obserbasyon sa interpretasyon
Isiping dumami ang bigong login. Direktang obserbasyon ang naitalang pangyayari; pagsusuri na kung kasalanan ng gumagamit, maling setting o mapanirang gawain ang sanhi. Hindi dapat ituring na napatunayang katotohanan ang posibleng hinuha.
Iminumungkahi naming may panahon, kaugnay na serbisyo at masusuring ebidensiya ang bawat alerto. Sa gayon, maaaring balikan ng responsable ang pasya at hindi lamang umasa sa pangalan ng alerto.
Kailangan ng partikular na awtoridad ang tugon
Maaaring sapat ang abiso sa isang sitwasyon at kailangan ang pansamantalang paghigpit sa iba. Dapat sundin ang aprubadong patakaran ng kapaligiran. Hindi laging pinahihintulutan ng pagtingin sa ulat ang pagpapalit ng setting.
Inilalarawan ng NIST ang least privilege bilang paglilimita ng awtoridad sa kailangan ng gawain. Sa mungkahing gamit sa Shield, bawat tugon ay may angkop na kasangkapan at pahintulot, hindi malawak na kapangyarihang baguhin ang lahat. 1
Kailangan ding suriin ang resulta ng tugon
Pagkatapos ng pansamantalang aksiyon, tingnan kung humina ang banta, maayos ang pangunahing serbisyo at kailan rerepasuhin ang paghihigpit. Kung hindi, maaaring maging nakalimutang setting ang tugon.
Hindi dapat burahin ng pagbabago ng setting ang ebidensiyang kailangan sa pagsisiyasat. Dapat tukuyin ng plano ang impormasyong itatago sa limitadong access at kung sino ang susuri.
Para sa Sara Shield, kontroladong tugon ang malinaw na ugnayan ng pangyayari, pasya, aksiyon at resulta. Mahalaga ang bilis ngunit hindi sapat kung walang tamang proporsiyon at kakayahang repasuhin.
